Máy Mac dính lỗ hổng quyền riêng tư, Apple bị chỉ trích chỉ biết nói suông

Khi Apple công bố chương trình Security Bounty vào năm ngoái, các nhà nghiên cứu đã đổ xô tham gia một cuộc săn lùng những lỗ hổng nguy hiểm tiềm tàng, sau đó giữ bí mật về chúng để đổi lấy những khoản tiền thưởng khổng lồ.

Nhà phát triển Jeff Johnson đã nhanh chóng tiết lộ cho Apple biết về một lỗ hổng zero-day, vốn cho phép hacker truy xuất đến các tập tin riêng tư của người dùng trong trình duyệt web Safari – một vấn đề ảnh hưởng đến cả phiên bản beta của macOS Big Sur. Nhưng anh khẳng định rằng đã hơn 6 tháng trôi qua mà công ty vẫn chưa chịu vá lỗ hổng này, khiến bản thân phải từ bỏ chương trình săn tiền thưởng nói trên và chỉ trích những nỗ lực của công ty chẳng khác gì những lời nói suông.

Lỗ hổng mà Johnson phát hiện ra khá nghiêm trọng: một người dùng Safari khi bị dụ dỗ tải về một tập tin có vẻ an toàn từ một website nào đó có thể sẽ vô tình mở cánh cửa để kẻ tấn công xâm nhập máy tính và tạo ra một bản sao đã bị chỉnh sửa của Safari, và macOS xem bản sao này như ứng dụng nguyên gốc. “ Bất kỳ tập tin bị giới hạn nào mà Safari truy cập được” cũng sẽ được truy cập bởi kẻ tấn công, kẻ này có thể ra lệnh tự động chuyển những tập tin lẽ ra phải được bảo vệ về máy chủ của hắn.

Theo lời giải thích của Johnson, lỗ hổng này tồn tại là bởi hệ thống bảo vệ quyền riêng tư Transparency, Consent, and Control (TCC) của Apple cho phép những ngoại lệ mà chỉ xem xét mã định danh của ứng dụng chứ không phải xuất xứ của tập tin đang chạy, và “ chỉ kiểm tra hời hợt chữ ký trong mã của ứng dụng“. Hậu quả là, một bản sao đã bị chỉnh sửa của Safari có thể được chạy từ một thư mục không đúng với thư mục gốc nhưng vẫn không làm kinh động đến hệ thống bảo vệ TCC, một vấn đề tồn tại từ macOS 10.14 (Mojave), 10.15 (Catalina) và 11 (Big Sur), khiến hàng triệu người tiêu dùng và các doanh nghiệp đứng trước nguy cơ bị chia sẻ bất hợp pháp những dữ liệu riêng tư lẽ ra phải được bảo mật của họ.

Ngoài lỗ hổng nói trên, Johnson nhấn mạnh rằng những phản hồi rời rạc của Apple khiến anh nghi ngờ về tốc độ lẫn khả năng được trả thưởng từ chương trình Security Bounty. Đã báo cáo lỗ hổng vào tháng 12/2019, ngay trong ngày công ty mở chương trình Bounty, Johnson nhận được một lời xác nhận rằng Apple đang lên kế hoạch giải quyết vấn đề, nhưng đến cuối tháng 6/2020, chẳng có chuyện gì xảy ra cả. Quãng thời gian này đã vượt qua giới hạn 90 ngày không công khai lỗ hổng – theo lời Johnson – và đó cũng là lần thứ hai anh trải qua tình huống này. “Mọi việc trở nên hiển nhiên rằng tôi sẽ không bao giờ được trả món tiền thưởng từ Apple cho bất kỳ thứ gì tôi báo cáo cho họ, hoặc ít nhất là trong một khoảng thời gian chấp nhận được“.

Những lời than phiền về tốc độ phản hồi chậm chạp của Apple đối với các bản báo cáo lỗ hổng zero-day đã xuất hiện từ trước chương trình Security Bounty, trong đó có cả những lần trao đổi qua lại giữa Apple và nhóm bảo mật Project Zero của Google. Câu chuyện của Johnson về việc Apple chậm phản hồi và quá trình thanh toán mập mờ chắc chắn không phải là câu chuyện duy nhất, nhưng đi kèm với nó là lời cảnh báo đến mọi người dùng rằng “ các biện pháp bảo vệ quyền riêng tư trên macOS chủ yếu chỉ là nói suông“, gây nguy hiểm cho các nhà phát triển Mac hợp pháp đồng thời tạo điều kiện cho những kẻ có mưu đồ xấu xa lách qua những kẽ hở. “ Bạn có quyền biết được các hệ thống mình đang dựa vào để có sự bảo vệ thực ra không bảo vệ bạn” – Johnson nói, tiết lộ thêm rằng mặc cho những khẳng định trái ngược, “ tính bảo mật ngày càng kém của Apple trên máy Mac không thể được biện minh bằng những lợi ích về quyền riêng tư và bảo mật“.

Hôm qua, Apple nói với Johnson rằng công ty vẫn đang điều tra về lỗ hổng. Liệu Apple có vá lỗ hổng trong bản beta của Big Sur, vốn tập trung nhiều vào những cải tiến đối với Safari và các phiên bản trước đó của nó.